CVE-2026-82402 Redirección abierta en el endpoint /redirect de Gogs por barra invertida

Qué es CVE-2026-82402

IsSameSite valida una forma normalizada del destino, pero getRedirect y otros llamadores usan el valor original en el encabezado Location. Un atacante no autenticado puede enviar un destino con barra invertida y lograr que el navegador lo interprete como URL externa relativa al esquema, redirigiendo víctimas desde un dominio Gogs confiable para phishing. Corregido en 0.15.0+dev.

Productos y versiones afectadas

• gogs

  • < 0.15.0+dev

Qué hacer

1. Verificá si usás gogs y en qué versión: el rango afectado figura arriba.
2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
3. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

CVSS 4.0 · 5.3 MEDIA

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:P/VC:N/VI:N/VA:N/SC:L/SI:L/SA:N

VECTOR DE ATAQUE (AV)

Red

COMPLEJIDAD DEL ATAQUE (AC)

Baja

REQUISITOS DEL ATAQUE (AT)

Ninguno

PRIVILEGIOS REQUERIDOS (PR)

Ninguno

INTERACCIÓN DEL USUARIO (UI)

Pasiva

CONFIDENCIALIDAD (SISTEMA VULNERABLE) (VC)

Ninguna

INTEGRIDAD (SISTEMA VULNERABLE) (VI)

Ninguna

DISPONIBILIDAD (SISTEMA VULNERABLE) (VA)

Ninguna

CONFIDENCIALIDAD (SISTEMAS POSTERIORES) (SC)

Baja

INTEGRIDAD (SISTEMAS POSTERIORES) (SI)

Baja

DISPONIBILIDAD (SISTEMAS POSTERIORES) (SA)

Ninguna

Abrir la calculadora completa →

Descripción original

Gogs is an open source self-hosted Git service. Prior to 0.15.0+dev, an unauthenticated attacker can provide a backslash-containing target to the /redirect endpoint, and similar post-action redirect flows are also affected. internal/urlx/urlx.go IsSameSite validates a normalized form of the target while cmd/gogs/internal/web/web.go getRedirect and other callers use the original value in the Location response. This backslash normalization mismatch lets browsers interpret the Location value as a scheme-relative external URL, allowing links on a trusted Gogs domain to redirect victims to attacker-controlled content for phishing. This vulnerability is fixed in 0.15.0+dev.

Referencias

• github.com/gogs/gogs/security/advisories/GHSA-3g28-2vwg-gxq6X_REFSOURCE_CONFIRM
• github.com/gogs/gogs/pull/8391X_REFSOURCE_MISC
• github.com/gogs/gogs/commit/0aa820e6d572771551871c0b5f5f32dffc565e3eX_REFSOURCE_MISC
• github.com/gogs/gogs/blob/main/CHANGELOG.md#0150dev-mainX_REFSOURCE_MISC

Historial de la alerta

1. 14 OCT · 17:12VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.